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© DISPOSITIF DE TELEVISION A PEAGE EQUIPE DE PLUSIEURS DECODEURS AVEC DISTRIBUTION DE 
DROITS D'ACCES. 

(57) Le dispositif de television a peage coopere avec au 

moins un reseau de diffusion (RES) et un centre de gestion . TiR 

de droits d'acces (GES). II comprend un decodeur.principal 
(PRI).et un decodeur secondaire (SEC) apte chacun a pro- 
ceder a la conversion de signauxembrouilles en provenan- 
ce du reseau de diffusion en des signaux desembrouilles. 
Chaque decodeur comprend un module de controle d'acces 
cooperant avec une carte a memoire (55) contenant un 
identifiant d'usager, associe a des droits d'acces. 

Des moyens de communication (MCOM) reiient le deco- 
deur principal au centre de gestion (GES) pour requerir les 
droits d'acces secondaires (DAS), en fonction de Pidentifiant 
d'usager principal, de I'identifiant d'usager secondaire et 
d'une information de filiation, et pour recevoir lesdits droits 
d'acces secondaires ainsi requis, au niveau du decodeur 
principal (PRI) ou du decodeur secondaire (SEC), via le re- 
seau de diffusion (RES) en vue d'etre transferes dans la 
carte secondaire (CS). 
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Dispositif de television £ p£age equipe de plusieurs d£co- 
deurs avec distribution de droits d'acces. 

5 

La presente invention concerne les services et/ou communica- 
tions ci peage, notamment la television. 

Elle trouve une application dans les reseaux de diffusion 
10 hertzienne, directe par satellite ou par cable, dans lesquels 
les informations dif fusses (son, image et parfois donnees) 
sont "embrouiliees" , c'est-^-dire modifiees selon un codage 
specif ique, pour interdire l'accfes h ces informations. Un 
desembrouilleur ou decodeur, loue ou vendu aux usagers pour 
15 un usage bien deiimite, leur permet d'acceder aux informa- 
tions "desembrouill£es M , c'est-^-dire en clair. 

D'une mani&re generale, lorsqu'on possede plusieurs r£cep- 
teurs de television et qu'on souhaite recevoir des Emissions 
20 de television & p6age sur chacun des recepteurs de televi- 
sion, on doit relier un decodeur h chaque recepteur, et on 
doit obtenir des droits d'acc&s individuels pour chaque 
decodeur . 

25 Toutefois, les decodeurs sont relativement couteux ^ 1' achat 
ou h la location, et la procedure d'obtention des droits 
d'acc&s aupres d'un operateur est relativement lourde h 
mettre en place et peu flexible, notamment lorsqu'il y a 
plusieurs usagers a satisfaire avec des besoins differents. 

30 

La presente invention apporte une solution k ces probiemes. 

Elle porte sur un dispositif de television k p4age destine k 
cooperer avec au moins un r^seau de diffusion et un centre de 

35 gestion de droits d'acces, ledit dispositif de television 
etant du type comprenant un decodeur principal apte £ 
proceder ci la conversion de signaux embrouilies portant des 
informations sujettes ci peage en provenance du reseau de 
diffusion en des signaux desembrouilies , susceptibles 

4 0 d* utilisation directe, ledit decodeur principal comprenant un 
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module de controle d'accfes principal apte & cooperer avec une 
carte £ m£moire principale contenant un identifiant d'usager 
principal, associe h des droits d'acces principaux, et des 
moyens de communication propres k etre relics au centre de 
gestion. 

Selon une definition generale de 1- invention, le dispositif 
comprend en outre au moins un decodeur secondaire apte & 
proceder a la conversion des signaux embrouilies en des 
signaux desembrouilies, ledit decodeur secondaire comprenant 
un module de controle d'accfes secondaire apte h cooperer avec 
au moins une carte h memoire secondaire contenant un identi- 
fiant d'usager secondaire, associe cl des droits d'acc&s 
secondaires, 1 1 identifiant d'usager secondaire etant relie & 
1 'identifiant d'usager principal selon une information de 
filiation pr6d£termin£e. 

Selon encore la definition generale de 1' invention, les 
moyens de communication du decodeur principal sont propres h 
dialoguer avec le centre de gestion pour requerir lesdits 
droits d'acc^s secondaires, en fonction de 1 ■ identifiant 
d'usager principal, de 1 1 identifiant d'usager secondaire et 
de 1 • information de filiation, et le decodeur principal ou le 
decodeur secondaire est propre a recevoir, via le r£seau de 
diffusion, lesdits droits secondaires ainsi requis, afin de 
les transferer dans la carte & memoire secondaire. 

Un tel dispositif a l'avantage de permettre d'obtenir des 
droits d'acc^s pour la ou les cartes & m6moire associees a 
chaque decodeur, & 1'aide d'un dialogue entre les moyens de 
communication du decodeur equipe de tels moyens de communica- 
tion et le centre de gestion, les autres decodeurs pouvant 
etre des decodeurs depourvus de moyens de communication avec 
le centre de gestion et simplement dedies k la conversion des 
signaux embrouilies. 

II en resulte qu'un tel dispositif est plus ergonomique et 
moins couteux qu ' un dispositif comprenant des decodeurs 
equipes chacun de moyens de communication avec le centre de 
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gestion. En outre, un tel dispositif selon 1'invention 
simplifie la distribution des droits d'acces pour une ou plu- 
sieurs cartes a memoires secondaires associees a un ou 
plusieurs decodeurs secondaires. 

D'autres caracteristiques et avantages de 1'invention 
apparaitront a la lumiere de la description detaillee ci- 
apres et des dessins dans lesquels : 

10 - la figure 1 represente schematiquement le principe de 
fonctionnement d'un systeme de television a peage de l'art 
anterieur ; 

- la figure 2 est un schema detaille de la distribution des 
15 droits d'acces aux emissions de television selon l'art ante 



20 



rieur ; 



- la figure 3 represente schematiquement un mode de realisa 
tion de 1'invention ; et 

- la figure 4 est un organigramme illustrant la distribution 
des droits d'acces secondaires selon 1'invention. 



Sur la figure 1, un decodeur DEC comprend une interface 
25 d'entree 10 qui recoit un signal analogique ou numerique em- 
brouille qui peut etre par exemple : 

. soit un signal analogique haute frequence comprenant 
plusieurs canaux de donnees, auquel cas 1' interface d'entree 
30 10 comporte alors un demodulateur , pour passer en frequence 
plus basse, et un demultiplexeur , pour separer les canaux 
individuels ; 

- soit directement un signal analogique embrouille concernant 
35 un seul canal, auquel cas 1 ' interface d'entree 10 comprend 

siinplement des elements de mise en forme de ce signal ; 

- soit un signal numerique porteur du flux numerique, et 

.... J ,__^_x„ in £i-.re soit un recepteur /syn- 
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toniseur (tuner) de television par cable ou par satellite, 
soit un coupleur de type ATM (mode de transfert asynchrone ou 
"Asynchronus Transfer Mode" ) , ou encore ADSL (Ligne d'abonne 
numerique asymetrique ou "Asymetric Digital Subscriber 
5 Line" ) - 

De fagon connue, des moyens de traitement 20 sont capables de 
transformer les signaux embrouilles d'un seul canal en 
signaux desembrouilles , qui sont alors appliques a 1 'inter- 
10 face de sortie 90 , pour commander par exemple un televiseur 
ou un moniteur, dans le cas d'une application video • 

L' interface de sortie 90 dans le cas d'un signal numerique 
peut comprendre un demultiplexeur , pour extraire du flux 
15 numerique en clair les sequences relatives au canal souhaite, 
et 1' interface de sortie proprement dite, qui, de fagon 
connue, trans forme ces sequences en signaux propres a piloter 
un televiseur ou un moniteur. 

20 Le decodeur DEC comprend en outre des moyens de communication 
MCOM relies au centre de gestion des droits d'acces GES. Ces 
moyens de communication MCOM fonnent une voie de retour entre 
le decodeur DEC et le centre de gestion GES. 

25 Par exemple, ces moyens de communication MCOM comprennent un 
modulateur/demodulateur de type MODEM telephonique reliant le 
decodeur au centre de gestion via le reseau telephonique 
commute RTC ou le reseau numerique a integration de services 
RNIS. 

30 

La voie de retour entre le decodeur et le centre de gestion 
trouve des applications d 'interactivity, par exemple pour 
demander des droits d'acces ou faciliter la navigation dans 
les programmes et canaux. 

35 

Une telecommande TCOM est associee au decodeur pour permettre 
a l'usager de select ionner son programme ou s' informer en 
permanence et 1' aider a faire son choix en consultant une 
base de donnees relative aux emissions en cours ou a venir. 
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En reference a la figure 2, le dispositif embrouilleur 100 

recoit a son entree 102 les composantes en clair CC a 

embrouiller. Les informations de synchronisation et de 

signalisation SSC sent appliquees en clair a 1'entree 104 de 

1^ embrouilleur. La sortie 106 de 1 < embrouilleur , delivrant 

les composantes embrouillees CE , est reliee a 1'entree 112 du 

desembrouilleur 110 dont 1 'entree 114 recoit les informations 

de synchronisation et de signalisation en clair SSC. Apres 

•«n l* sortie 116 du desembrouilleur delivre les 
conversion, la sortie 

composantes en clair CC. 

L'embrouillage/desembrouillage est commande par un mot de 
contr61e CW. Le desembrouilleur doit posseder le meme mot de 
controle CW que 1 ' embrouilleur pour restituer 1' image ou le 
son en clair. 

En pratique, les mots de controle CW sont transmis sensi- 
blement en temps reel dans le signal diffuse par le reseau de 
diffusion RES , sous forme chiffree pour proteger leur 
transport depuis 1 'embrouilleur jusqu'au desembrouilleur. 

Cote emission, un dispositif de chiffrement 120 recoit a son 
entree 122 les mots de controle CW a chiffrer selon une 
fonction cryptographique f sous controle d'une cle d'auto- 
risation SK, appelee encore cle de service ou service Jcey , et 
appliquee a 1 'entree 124 du dispositif de chiffrement. 

Les cryptograms correspondants aux transformes des mots de 
contrSle CW par la fonction cryptographique f selon la cle 
d' automation SK, e'est-a-dire f(CW,SK), sont transmis par 
la sortie 128 dans le signal diffuse a 1'interieur de 
messages de services appeles ECM (Entitlement Control 
Messages). La sortie 126 applique les mots de controle CW en 
clair a 1' entree 105 de 1' embrouilleur 100. 

Les messages de service ECM comprennent en outre les condi- 
tions d'acces CA au programme (cout, type d ' abonnement , etc) 
appliquees a 1'entree 130 du dispositif de chiffrement 120. 
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Toutes les informations contenues dans les messages de 
service ECM sont signees par le dispositif de chif frement 120 
a l'aide de la cle d ' autorisation SK. La sortie 128 applique 
au signal diffuse par le reseau de diffusion lesdites 
5 informations signees correspondants a f(ECM,SK). 

Au niveau de chaque decodeur DEC, les messages de service ECM 
du programme select ionne par l'usager sont recuperes et la 
signature f (ECM,SK) est verifiee. En presence d'une signature 
10 authentique et si les conditions d'acces CA sont satisfaites, 
les mots de controle CW sont alors dechif fres et transmis au 
desembrouilleur 110, c'est-a-dire aux moyens de traitement 20 
du decodeur DEC decrit en reference a la figure 1. 

15 La verification de la signature de f ( ECM / SK ) et le dechiffre- 
ment de f(CW,SK) se font grace a un dispositif de dechiffre- 
ment 200 utilisant la meme cle d' autorisation SK qu'a 
1 'emission. L 'entree 202 du dispositif de dechif frement 200 
regoit les transformes f (ECM, SK ) et f(CW,SK) via le reseau de 

20 diffusion. L' entree 204 du dispositif de dechif frement 200 
regoit la cl£ SK. La sortie 206 du dispositif de dechif fre- 
ment 200 delivre les mots de controle CW a l'entr^e 118 du 
desembrouilleur 110. 

25 Le dispositif de dechif frement 200 ainsi que la cl£ d 'autori- 
sation SK sont stockes dans un module de controle d'acces 5 0 
(figure 1) qui, lui-meme, coopere avec une memoire protegee 
55 (figure 1) . 

30 La memoire 55 peut etre par exemple une carte a puce a 
microprocesseur , ou bien une cle electronique a microproces- 
seur, ou bien une carte de type PCMCIA avec processeur 
s6curise, ou encore une carte sans contact securisee a 
microprocesseur. 

35 

La cle d' autorisation SK n'est pas diversifiee, c'est-a-dire 
que la meme cle d ' autorisation SK est presente dans toutes 
les cartes d'acces. 
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Un dispositif comparateur 210 est prevu pour comparer les 
droits d'acces DA aux conditions d'acces a un programme CA 
transmises dans les messages de services ECM afin d'etablir 
si l'usager a le droit ou non de regarder le programme. 

La mise a jour de ces droits d'acces DA se fait au moyen de 
messages de gestion des droits d'acces, appeles EMM (Entitle- 
ment Management Messages) transmis avec le programme via le 
reseau. 

En pratique, la cle SK est transmise dans le signal diffuse 
par le reseau de diffusion RES, sous forme chif free pour 
proteger son transport depuis l'embrouilleur jusqu'au 
desembrouilleur . 

Cote emission, un dispositif de chif frement 220 recoit a son 
entree 222 la cle SK a chiffrer selon une fonction cryptogra- 
phique f sous controle d'une cle de distribution, appelee cle 
d'utilisateur ou user_key UK. Ces cles de distribution UK 
varient d'une carte d'acces a une autre. Les cles UK sont 
appliquees a 1' entree 224 du dispositif de chif frement 220. 

Le transforms de la cle SK par la fonction cryptographique f 
selon la cle de distribution UK, c'est-a-dire f(SK,UK), est 
transmis par la sortie 228 dans le signal diffuse a l'inte- 
rieur des messages EMM. 

Les messages de service EMM comprennent en outre les droits 
d'acces DA associes a l'usager detenteur de la cle de 
distribution UK. Ces droits d'acces DA sont appliques a 
1' entree 230 du dispositif de chif frement 220. En pratique, 
ces droits d'acces DA sont stockes dans une table TAB logee 
dans le centre de gestion GES, a une adresse predetermine 
reliant 1 ' identif iant ID de la carte d'acces et lesdits 
droits d'acces. A chaque identif iant ID sont associes des 
droits d'acces DA, ainsi qu'une cle de distribution UK. 
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Toutes les informations (notamment les droits DA) contenues 
dans les messages de service EMM sont signees par le disposi- 
tif de chiffrement 220 a l'aide de la cle de distribution UK. 

La sortie 228 applique au signal diffuse par le reseau de 
diffusion lesdites informations signees correspondant a 
f (EMM, UK) . 

Au niveau de chaque decodeur DEC, les messages de gestion de 
droits d'acces EMM sont recuperes et la signature f (EMM, UK) 
est verifiee. En presence d'une signature authentique, la cle 
d'autorisation SK est alors dechif free et transmise a 
1' entree 204 du dispositif de dechif f rement 200. 

La verification de la signature de f (EMM, UK) et le dechif f re- 
ment de f (SK,UK) se font grace a un dispositif de dechif f re- 
ment 300 utilisant la cle de distribution UK, prealablement 
stockee dans la memoire 55 du module de contrdle d'acces. 

L'entree 302 du dispositif de dechif f rement 300 recoit les 
transformes f (EMM, UK) et f (SK,UK) via le reseau de diffusion. 
L'entree 304 du dispositif de dechif f rement 300 recoit la cle 
UK. La sortie 306 du dispositif de dechif f rement 300 delivre 
la cle SK a l'entree 204 du dispositif de dechif f rement 200. 

Le dispositif de dechif frement 300 ainsi que la cle de 
distribution UK sont stockes dans le module de controle 
d'acces 50 (figure 1) et sa memoire 55. 

Les cles de distribution UK varient d'un module de controle 
d'acces a un autre. Elles sont diversifies au niveau d'un 
dispositif de generation 400 dont l'entree 402 recoit une cle 
maitresse participant a la diversification des cles de 
distribution UK et dont l'entree 404 recoit des informations 
relatives aux fichiers des usagers et des cartes d'acces et 
contenues dans la table TAB logee dans le centre de gestion 
GES. 
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Si la signature des messages EMM est correcte, alors le 
mo dule de controle d'acces, convaincu de 1 • authentic if du 
message, execute 1'operation de gestion des droits d'acces 
apres stockage des droits d'acces dans une memdre 310 dont 
la sortie 312 est reliee a 1'entree 212 du comparateur de 
droits 210- 

La Deraanderesse s'est pose notamment le probleme d'ameliorer 
la procedure de distribution des droits d'acces lorsqu'un ou 
plusieurs usagers possedent plusieurs recepteurs de televi- 
sion relies chacun a un decodeur. 

En reference a la figure 3, on a .represent* une installation 
de television a peage equipee d'un decodeur principal PRI et 
d'un decodeur secondaire SEC. 

Le decodeur principal PRI comprend les elements decrits en 
reference aux figures 1 et 2, notamment une interface 
d< entree 10 recevant les signaux diffuses par le reseau de 
diffusion RES et des moyens de communication MCOM relies au 
centre de gestion GES a travers un reseau de communication 
guelcongue tel gue le reseau autocommute RTC ou le reseau 
numerique a integration de services RNIS. 

Le decodeur secondaire SEC comprend un desembrouilleur 
siinilaire a celui du decodeur principal. Par centre, le 
decodeur secondaire est avantageusement depourvu de moyens de 
communication MCOM, devenus inutiles comme on le verra cr- 
apres. Le decodeur secondaire pent done etre moins cher que 
le decodeur principal dans la mesure ou il n'est pas neces- 
saire qu'il dispose d'un navigateur pour permettre a l'usager 
de naviguer dans les programmes et sa telecommande peut avoir 
des fonctions reduites. 

Le module de controle d'acces du decodeur secondaire est 
similaire a celui du decodeur principal. Le module de 
controle d'acces secondaire est apte a cooperer avec une ou 
plusieurs cartes secondaires CS tandis que le decodeur 
e^^^^e. avec une carte principale CP. 
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Selon 1' invention, la Demanderesse a mis en place un dialogue 
entre le decodeur principal et le centre de gestion pour 
permettre de distribuer des droits d'acces a une ou plusieurs 
cartes secondaires d'un ou plusieurs decodeurs secondaires 
sans equiper le ou lesdits decodeurs secondaires de moyens de 
communication avec le centre de gestion. 

Selon 1' invention, la table d ' identification TAB contient une 
information de filiation FIL entre 1 ' identif iant de l'usager 
principal IDP et l'un ou plusieurs identif iants d'acces 
secondaire IDS. 

La gestion des droits d'acces est effectuee selon 1' invention 
a partir de la carte principale. Ainsi, selon 1' invention, on 
peut particulariser ou personnaliser les services of ferts par 
l'operateur de diffusion aux utilisateurs des decodeurs 
secondaires qui peuvent utiliser un decodeur secondaire a des 
instants dif ferents comme des multi-utilisateurs ayant chacun 
une autorisation personnalisee. Ainsi, un decodeur secondaire 
peut servir a plusieurs utilisateurs secondaires, ayant 
chacun une carte secondaire et des droits affectes a ces 
cartes . 

Par exemple, le decodeur principal PRI et la carte principale 
CP sont affectes a la famille, avec un identifiant principal 
IDP associe a des droits d'acces DAP pour la famille. Le 
decodeur secondaire SEC et la ou les cartes secondaires CS1, 
CS2 sont affectes a des membres de la famille, avec un 
identifiant secondaire IDS, des droits secondaires DAS et une 
cle de distribution UK respectifs. Une information de 
filiation est etablie entre les dif ferents identif iants , 
selon une arborescence choisie et connue du centre de 
gestion. 

Les droits d'acces DAP peuvent etre dif ferents des droits 
d'acces secondaires DAS, et les droits d'acces secondaires de 
chaque carte secondaire peuvent egalement etre differents les 
uns des autres. 
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De plus, le decodeur principal et le ou les decodeurs 
secondaires ne sent pas necessairement situes dans le meme 
local. Dans ce cas, le decodeur secondaire est distant du 
decodeur principal, les droits d'acces secondaires etant 
cependant lies aux automations accordees au moment de 
1'obtention et stockage desdits droits que 1'on decrira plus 
en detail ci-apres. 

En reference a la figure 4, on va donner un exemple de 
distribution de droits d'acces secondaires selon 1' invention. 

Lorsgu'un usager secondaire veut utiliser un decodeur 
secondaire pour acceder a des emissions a peage, rl est 
necessaire de disposer dans sa carte secondaire des drorts 
d'acces correspondants DAS. La carte secondaire CP content 
dans sa memoire protegee une cle de distribution personnels 
et secrete UKS. 

Selon 1' invention, les moyens de communication du decodeur 
principal vont permettre de dialoguer avec le centre de 
gestion pour obtenir ces droits d'acces secondaires. 

La premiere etape El, facultative, consiste a identifier la 
carte principale CP au niveau du decodeur principal. 

Cette identification pent etre realisee a 1'aide d'un code 
personnel secret, introduit au prealable par 1'operateur dans 
la memoire secrete de la memoire, et verifie par la carte 
elle-meme, a travers le decodeur principal. Une telle 
0 identification pent etre amenagee pour permettre un fonc- 
tionneinent multi-utilisateur . 

Les etapes E2 et E3 consistent en un dialogue entre le 
decodeur principal PRI et le centre de gestion GES, vxa les 
5 moyens de communication MCOM- 

Selon 1' invention, les moyens de communication MCOM emettent 
une requete RQ aupres du centre de gestion pour obten,r des 
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droits d'acces secondaires DAS1 (etape E2) pour la ou les 
cartes secondaires CS. 

La requete est accompagnee de 1 ' identif iant d'usager princi- 
5 pal IDP, et d'une demande de droits d'acces pour l'identi- 
fiant d'usager secondaire IDS . Une information de filiation 
FIL entre 1 ' identif iant d'usager principal IDP et l'identi- 
fiant d'usager secondaire IDS accompagne egalement la 
requete . 

10 

Avantageusement , la requete est authentifiee selon 1 ' etape E3 
a 1'aide d'une authentif ication active mise en place a l'aide 
de la cle de distribution UK de la carte principale et des 
moyens de chiffrement 220 loges dans le centre de gestion GES 
15 et des moyens de dechif f rement 3 00 loges au niveau de la 
carte principale CP. 

Apres verification et autorisation, c'est-a-dire authentifi- 
cation de la requete RQ, le centre de gestion va rechercher 
20 dans sa table d ' identif ication TAB (etape E4 ) , 1' identif iant 
secondaire IDS. A l'aide de 1 ' information de filiation FIL 
reliant 1 ' identif iant principal IDP et 1 ' identif iant secon- 
daire IDS, le centre de gestion determine l'adresse secon- 
daire ou se trouvent les droits d'acces secondaires DAS . 

25 

Selon 1' etape E5, le centre de gestion va attribuer et 
chiffrer les droits d'acces secondaires DAS pour la carte 
secondaire CS. 

30 En pratique, les droits d'acces secondaires DAS sont chiffres 
par les moyens d ' authentif ication 220 du centre de gestion 
qui cryptent les droits d'acces secondaires a l'aide de la 
cle de distribution UKP associee h la carte principale ou h 
l'aide de la cle de distribution UKS associee a la carte 

35 secondaire. 

Selon 1' etape E6, les droits d'acces secondaires DAS ainsi 
chiffres sont transmis via le reseau de diffusion RES vers le 
d£codeur principal ou le decodeur secondaire pour etre 
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- j=t,<= i a carte secondaire (etape 
dechiffres et enregistres dans la cane 

E7 ) . 

nus precisement, lea .oyens de d4=hiff recent 300 de U carte 
principal CP ou de 1. carte secondaire CS 
Lotion crypto g rap h i,ue £ a l.aid. de la 0» de 
correspondante pour decrypts lea droits d'accea secondares 
DAS ainsi transmis cryptes . 

E n pratique, ce sent les moyens de dechif f rement de la carte 
principal qui dechiffrent les droits d'acCs lorsque 1. 
lec^ur de Irte du decodeur principal comprend deux fentes 
d' introduction, tandis que ce sont les moyens de dechif f re- 
cent de la carte secondaire qui dechiffrent les droxts 
d'acces lorsque le lecteur de carte du decodeur principal ne 
comprend qu'une seule fente d' introduction . 

Dans le cas d'un decodeur principal a deux fentes d' introduc- 
tion de cartes, la requete RQ est etablie lorsque la carte a 
^cire principal CP est introduite dans la prendre fente 
du decodeur principal et lorsque la carte a memoire . secon- 
daire CS est introduite dans la seconde fente du decodeur 
principal. Ainsi, les droits secondares DAS transmis via le 
reseau de diffusion RES sont d'abord stockes dans la carte a 
m emoire principale CP pour etre ensuite dechiffres et enfin 
transfers de la carte a memoire principale CP vers la carte 
a memoire secondaire CS ainsi introduite dans le lecteur de 
carte principal. 

II est a remarquer que le transfert des droits DAS vers la 
carte secondaire peut s'effectuer pendant 1 'utilisation 
normale du decodeur principal. L' operation de transfert peut 
s-effectuer en parallele avec le f onctionnement normal du 
decodeur principal. L'utilisateur secondaire apres retrace 
sa carte secondaire dans le decodeur principal peut 1 utili- 
ser normalement sur son decodeur secondaire. Il s'agxt en 
fait d'un transfert de droits de type carte prrncipale 
carte secondaire. 
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Dans le cas d'un decodeur principal a une seule fente 
d' introduction de cartes, la requete RQ est etablie lorsque 
la carte a memoire principale est introduite dans la fente du 
decodeur principal et lorsque la carte a memoire secondaire 
est introduite dans la fente du decodeur secondaire. Ainsi, 
les droits secondaires sont transmis directement dans la 
carte a memoire secondaire, via le r£seau de diffusion selon 
l'etape E7 pour etre dechiffres et enregistres. 

Dans le cas d'un transfert par le reseau de diffusion 
directement au niveau de la carte secondaire, la carte 
principale reste done dans le decodeur principal et la carte 
secondaire reste dans le decodeur secondaire. 

Enfin, selon l'dtape E8, apres stockage des droits d'acces 
secondaires DAS dans la carte secondaire, le desembrouillage 
et la visualisation du programme sont rendus possibles. 

II est a remarquer que le dialogue decrit ci-avant peut etre 
mis en oeuvre par un dispositif de validation (valideur) de 
type profess ionnel situe au niveau d'un point d'acces 
predetermine. Dans ce cas, le decodeur principal PRI, de 
preference a deux fentes d' introduction de cartes, decrit en 
reference aux figures 1 a 4, joue le role du valideur d'acces 
permettant d'effectuer des demandes de droits d'acces REQ 
aupres du centre de gestion GES de l'operateur pour une ou 
plusieurs cartes principale et/ou secondaire, selon le 
protocole de distribution de droits d'acces conformement a 
1 ' invention. 

Cette distribution de droits peut etre automatisee en libre- 
service dans une borne specialisee dans la vente de services 
operateurs. Par exemple, la borne specialisee est apte a 
assurer 1' edition de cartes de pre-paiement , ce qui perroet a 
un decodeur secondaire de donner acc&s au service lie au pre- 
paiement sans que ledit decodeur secondaire ne dispose de 
moyens de communication MCOM avec le centre de gestion GES de 
l'operateur. 
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D . U ne maniere generale, un code parental est a un niveau 
d'acces a un certain contenu pour un meme canal. Selon 
1'invention, un tel code parental peut etre affect* a chague 
droits secondaires par le decodeur principal selon une proce- 
dure de distribution similaire a celle des droits d'acces 
secondaires decrite en reference a la figure 4. 

Dans ce cas, la carte d'acces principal possede 1'i-age des 
droits d'acces de toutes les cartes d'acces secondaires et 
peut autoritairement y affecter un niveau parental. Ce nxveau 
est transmis au decodeur secondare par le reseau de diffu- 
sion dans le cadre d'un message de service. II peut egalement 
etre transmis par un transfert carte principle a carte 
secondaire. 

^operation de transfert d'un code parental peut s'effectuer 
en verifiant la carte secondaire par le code personnel 
affecte a la carte secondaire. 

20 En pratique, le dispositif selon 1' invention peut etre 
accompagne de moyens de paiement qui peuvent etre une carte 
bancaire avec accord de credit et fonctionnant via les moyens 
de communication MCOM. Les moyens de paiement peuvent etre 
egalement des moyens externes, par exemple Minitel, borne 

25 automatique, commande facture ou serveur specialise d'opera- 
teurs par telephone. 

En pratique, les moyens de paiement des droits d'acces 
principaux et/ou secondaires sont situes dans le decodeur 
30 principal. 
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Revendications 

1. Dispositif de television a peage destine a cooperer avec 
au moins un reseau de diffusion (RES) et un centre de gestion 
de droits d'acces (GES), ledit dispositif de television etant 
du type comprenant : 

- un decodeur principal (PRI) apte a proceder a la conversion 
de signaux embrouilles portant des informations sujettes a 
peage en provenance du reseau de diffusion en des signaux 
desembrouilles , suscept ibles d ' utilisation directe , ledit 
decodeur principal comprenant un module de controle d'acces 
principal (50) apte a cooperer avec une carte a memoire 
principale (55) contenant un identifiant d'usager principal, 
associe a des droits d'acces principaux, et 

- des moyens de communication (MCOM) propres a etre relies au 
centre de gestion (GES), 

caracterise en ce qu'il comprend en outre au moins un 
decodeur secondaire (SEC) apte a proceder a la conversion des 
signaux embrouilles en des signaux desembrouilles, ledit 
decodeur secondaire (SEC) comprenant un module de controle 
d'acces secondaire apte a cooperer avec au moins une carte a 
memoire secondaire (CS) contenant un identifiant d'usager 
secondaire (IDS), associe a des droits d'acces secondaires 
(DAS), 1' identifiant d'usager secondaire (IDS) etant relie a 
1' identifiant d'usager principal selon une information de 
filiation predeterminee (FIL), en ce que les moyens de 
communication (MCOM) sont propres a dialoguer avec le centre 
de gestion (GES) pour requerir lesdits droits d'acces 
secondaires (DAS), en fonction de 1 ' identifiant d'usager 
principal, de 1 ' identifiant d'usager secondaire et de 
1' information de filiation, et pour recevoir lesdits droits 
d'acces secondaires ainsi requis, au niveau du decodeur 
principal (PRI) ou du decodeur secondaire (SEC), via le 
reseau de diffusion (RES), en vue d'etre transferes dans la 
carte secondaire (CS). 
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2 Dispositif selon la revendication 1, dans lequel le 
centre de gestion (GES) comprend des moyens de chiffrement 
(220) propres a etablir une fonction cryptographique (f) a 
I'aide d'une cle de distribution (OTP), secrete et person- 
nels a I'usager principal, caracterise en ce que la carte 
principale (CP) comprend des moyens de dechif £ rement (300) 
propres a etablir la fonction cryptographique (f) a I'aide de 
la cle de distribution, secrete et personnels a I'usager 
principal (UKP), et en ce que les moyens de chiffrement et de 
dechiffrement (220, et 300) sont propres a authentifier de 
facon active la requete (RQ) des droits d'acces secondaires 
(DAS) . 

3. Dispositif selon la revendication 2, dans lequel les 
moyens de chiffrement (220) du centre de gestion sont propres 
a chiffrer les droits d'acces secondaires (DAS), caractero.se 
en ce que les moyens de dechif f rement (300) de la carte 
secondaire ou de la carte principale sont propres a dechif - 
frer les droits d'acces secondaires ainsi transmis chiffres. 

4. Dispositif selon la revendication 1, dans lequel le 
decodeur principal comprend un lecteur de cartes eguipe de 
premieres et secondes fentes, caracterise en ce que la 
requete (RQ) est etablie lorsque la carte a memoire princi- 
pale est introduite dans la premiere fente et lorsque la 
carte a memoire secondaire est introduite dans la seconde 
fente, et en ce que les droits secondaires sont recus au 
niveau du decodeur principal, stockes dans la carte a memoire 
principale, et transferes depuis la carte a memoire princi- 
pale vers la carte a memoire secondaire. 

5. Dispositif selon la revendication 1, dans lequel le 
decodeur principal comprend un lecteur de cartes a une seule 
fente, caracterise en ce que la requete (RQ) est etablie 
lorsque la carte a memoire principale est introduite dans la 
fente du lecteur du decodeur principal et lorsque la carte a 
memoire secondaire est introduite dans la fente du lecteur du 
decodeur secondaire, et en ce que les droits d'acces secon- 
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daires sont regus au niveau du decodeur secondaire, et 
stockes directement dans la carte a memoire secondaire. 

6. Dispositif selon l'une des revendications precedentes, 
caracterise en ce que 1 'utilisateur de la carte principale 
est propre a creer et affecter des droits de type code 
parental a 1 ' utilisateur de la carte secondaire selon une 
procedure de distribution similaire a celle des droits 
secondaires. 

7. Dispositif selon l'une des revendications precedentes, 
caracterise en ce que le decodeur principal (PRI) est 
susceptible d'etre un valideur d'acces permettant d'effectuer 
des demandes de droits d'acces (REQ) aupres du centre de 
gestion (GES) de l'operateur pour une ou plusieurs cartes 
principale et/ou secondaire. 

8. Dispositif selon la revendication 7, caracterise en ce 
que le valideur d'acces constitue une borne specialisee dans 
la vente de services - 

9. Dispositif selon la revendication 8, caracterise en ce 
que la borne specialisee est apte a assurer 1' edition de 
cartes de pre-paiement , ce qui pemtet a un decodeur secon- 
daire (SEC) de donner acces au service lie au pre-paiement 
sans que ledit decodeur secondaire (SEC) ne dispose de moyens 
de communication (MCOM) avec le centre de gestion (GES) de 
1 'operateur. 



2779599 



1/4 



LU 

ID 



LU 

o 



a2 

LU LU 



<3 



Is a 

LU < ^ 

j ll cr 
cl cr o 
in lu l/) 



ZD ^ 





o 



Q lu 

o or 



z a: 

LU LU 



LU LU 



O LU 




LU lu 
< or 



CD 



3? a: 

UO LU 



i — 



o 



2779599 




CONDITIONS 
D'ACCES 



-CA 
-130 



122. 



CW 



120 



EC M 



f(ECM.SK) 



CHIFFREMENT 
CW ET 

SIGNATURE ^ ^fCCW.SK) 



SK- 



222 



220 



124 



VERIFICATION DE 
LA SIGNATURE 
f(ECM.SK) ET 
DECHIFFREMENT DE 
f(CW.SK) 



DROITS D'ACCES 
DA 



-230 



SK 
306 



CHIFFREMENT DES 
CLES SK ET 
SIGNATURE EMM 

^224 
-UK 



f(EMM,UK) 



228 



302 



VERIFICATION 

DES DROITS 
DA 



^204 



.300 



312 



304 



7* 



v 212 

DROITS 
D'ACCES DA 



VERIFICATION DE 


STOCKAGE 


LA SIGNATURE ET 


DES 


DECHIFFREMENT 


NOUVEAUX 


DES CLES 


DROITS DA 



I 



310 



UK 



DEVERSIFICATION 
DES CLES UK 



CLE 

MAITRESSE 



402 



400 



v 404 



TAB 



FICHIER DES CLIENTS ET 
DES CARTES D'ACCES 



FIG. 2 



2779599 



3/4 



GES 



1 



ID ENTIFIANT 
PRINCIPAL 
IDP 



FILL 



FIL2-^ 



IDENTIFIANT 
SECONDARE 
IDS1 



IDENTIFIANT 
SECONDARE 
IDS2 



TAB 



2 



RTC 
(RNIS) 



REQUETEDE 
DROITS DAS 




DISTRIBUTION 
DES DROITS 
DAS 



RES 



MCOM 




DECODEUR 
PRINCIPAL 



C 
P 



DECODEUR 
SECONDARE 



•PRI 



SEC 



y 



C 

s 



FIG. 3 



2779599 



4/4 



E1- 



IDENTIFICATION 
DE LA CARTE 
PRINCIPALS CP 



E2- 



I 



y pr 



REQUETE DE DROITS 
SECONDAIRES RQ 



E3- 



y 



E4- 



E5- 



VERIFICATION ET AUTORISATION 
DE LA REQUETE RQ 


> 


t 


RECHERCHE DE L'IDENTIFIANT 
SECONDAIRE IDS ET DE 
L'ADRESSE DES DROITS SECONDAIRES 


> 


f 


CHIFFREMENT 
SECONDAIRES 


DES DROITS 
DAS 



>GES 



E7 




y 



DECHIFFREMENT ET ENREGISTREMENT 
DES DROITS SECONDAIRES 



E8< 



PRI OU SEC 



DESEMBROUILLAGE ET VISUALISATION 
DU PROGRAMME AUTORISE 



SEC 



FG.4 



i 
i 



REPUBUQUE FRANQAISE 



2779599 



INSTITUT NATIONAL 
de la 

PROPRIETE INDUSTRIELLE 



RAPPORT DE RECHERCHE 

PRELIMINAIRE 

etaWi sur la base des dernieres revendications 
deposees avant le commencement de la recherche 



N° d'enreglstroment 
national 



FA 559771 
FR 9807026 



Categorie 



DOCUMENTS CONSIDERES COMME PERTINENTS 



Revendtca lions 



Citation du document avec indication, en cas de besom, 
des parties pertinentes 



deta 
examine 



US 5 748 732 A (LE BERRE JACQUES ET AL) 
5 mai 1998 

* colonne 1, ligne 16 - ligne 25 * 

* colonne 1, ligne 62 - colonne 2, ligne 
11 * 

* colonne 3, ligne 45 - colonne 4, ligne 
23 * 

* colonne 4, ligne 58 - colonne 5, ligne 7 
* 

WO 97 35430 A (NEWS DATACOM LTD ;TSURIA 
YOSSEF (ID) 25 septembre 1997 

* page 9, ligne 6 - ligne 13 * 

* page 10, ligne 1 - ligne 10 * 

* page 13, ligne 7 - ligne 22 * 

* page 14, ligne 25 - page 15, ligne 23 * 



1-3 



1,4,7 



US 4 633 309 A (LI 
30 decembre 1986 

* colonne 1, ligne 

* colonne 1, ligne 

* colonne 3, ligne 



page 
TONY C ET AL) 

6 - ligne 21 * 
47 - ligne 66 * 

7 - 1 igne 45 * 



GUILL0U L C ET AL: "ENCIPHERMENT AND 
CONDITIONAL ACCESS" 
SMPTE JOURNAL, 

vol. 103, no. 6, 1 juin 1994, pages 
398-406, XP000457575 

* page 400, colonne de gauche, alinea 4 - 
colonne de droite, alinea 5 * 

* page 402, colonne de gauche, alinea 4 - 
colonne de droite, alinea 2 * 

* page 406, colonne du milieu, alinea 6 - 
colonne de droite, alinea 3 * 



1-3 



OOMAINES TECHNIQUES 
RECHERCHES (lnt.CL:6) 



H04N 



Date d'actevement de la recnercn* 

16 fevrier 1999 



Examirtaleur 

Sindic, G 



CATEGORIE DES DOCUMENTS CITES 

X : particulierefnent pertinent a tui seul 

Y : particulierement pertinent en combinatson avecun 

autre document de la memo categorie 
A : pertinent a rencontre d au moins une revendication 

ou arriere-pian technologique general 
O : divulgation norvecrite 
P : document intercalate 



theorie ou prinape a la base de I invention 
document de brevet beneficiant dune date anterieure 
a la date de depot et qui n'a ete pubiiequ'a cette date 
de depot ou qu a une date posteheure. 
: cite dans la demande 
cite pour dautrea raisons 



&. : membra de la meme famiDe. document correspondant 



